NIS2 y el Reglamento de Inteligencia Artificial

1. Qué hereda

AI-CLOUD está construido sobre la infraestructura de OpenKBS, que se ejecuta en AWS. De ahí vienen las certificaciones auditadas de forma independiente, que ninguno de los dos nos hemos expedido a nosotros mismos: ISO/IEC 27001 (gestión de la seguridad de la información), ISO/IEC 27017 (seguridad en la nube), ISO/IEC 22301 (continuidad del negocio), SOC 2 Type II y C5. Los datos de la plataforma residen en la región de Fráncfort, Alemania — dentro de la Unión Europea.

2. Si le aplica NIS2

La Directiva (UE) 2022/2555 obliga a las entidades esenciales e importantes a gestionar el riesgo de su cadena de suministro, es decir, a verificar también a sus proveedores. Conviene saber dónde está España: la Ley de Coordinación y Gobernanza de la Ciberseguridad, con la que se transpone la directiva, fue aprobada como anteproyecto el 14 de enero de 2025 y, cuando se revisó esta página, seguía sin publicarse en el BOE; la Comisión Europea remitió a España un dictamen motivado en mayo de 2025 por el retraso. Eso cambia el calendario de las sanciones, no el fondo: las obligaciones de gestión del riesgo derivan de la directiva y, en la práctica, llegan antes por vía contractual — por el cuestionario de su cliente regulado. Si usted es una de esas entidades, AI-CLOUD es un proveedor sobre el que tiene qué documentar: infraestructura certificada, datos en la UE, cifrado en tránsito y en reposo, registro de las acciones del administrador y obligación contractual de notificación en caso de incidente. Las respuestas completas, junto con el apartado de lo que todavía no tenemos, están en Seguridad de los datos.

3. El Reglamento de Inteligencia Artificial

El Reglamento (UE) 2024/1689 se aplica por fases. Desde febrero de 2025 están en vigor las prácticas prohibidas (art. 5) y la obligación de alfabetización en materia de IA (art. 4) — el personal que utiliza estas herramientas, o que decide a partir de sus resultados, tiene que entender qué está haciendo. Desde agosto de 2026 se aplican además las reglas para los sistemas de alto riesgo del anexo III: selección de personal, crédito y seguros, educación, infraestructuras críticas. Si su aplicación entra ahí, las obligaciones son suyas como responsable del despliegue — la plataforma no las asume en su lugar, pero le da con qué cumplirlas. En España la autoridad de vigilancia del mercado es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña.

4. Qué aporta la plataforma

• Trazabilidad: en cada solicitud se registra qué modelo y qué versión se ha utilizado, cuándo y con qué coste — por proyecto. Este es el registro que el auditor pide ver.
• Una persona dentro de la decisión: el resultado del modelo no se ejecuta solo. Las acciones críticas pasan por aprobación, no ocurren por su cuenta.
• Marcado: el contenido generado por inteligencia artificial se identifica como tal — el requisito de transparencia del art. 50.
• Datos en la UE: la plataforma y su base de datos están en Fráncfort. La excepción es el propio tratamiento por el modelo de lenguaje — el detalle está en «Seguridad de los datos».

5. Dónde está el límite

Las certificaciones anteriores pertenecen a la infraestructura, no a la sociedad 3D Code EOOD. La conformidad con NIS2 y con el Reglamento de IA corresponde a la entidad que los utiliza — un programa no hace conforme a una empresa y ningún proveedor puede asumir eso en su lugar. Lo que sí podemos hacer: cumplimentar y firmar su cuestionario, suscribir un contrato de encargo del tratamiento y ponerle por escrito qué hay debajo de su aplicación. Escríbanos desde Contacto.